LONDON (IT BOLTWISE) – Eine neu analysierte npm-Kampagne nutzt 148 scheinbare Proxy-Tools als getarnte Botnet-Zellen: Jeder, der eine Proxy-Seite im Browser öffnet, gerät in den Datenstrom. Laut der Untersuchung bleibt die Schadlogik bewusst außerhalb des Install-Prozesses, um gängige Prüfmechanismen zur Build-Zeit zu umgehen. Stattdessen laden die Pakete zur Laufzeit Remote-Code über einen mutable CDN-Zweig und starten dann WebSocket-basierte Flut- und Steuerangriffe. Betroffen sind vor allem Umgebungen, in denen solche Schul-Proxy-Seiten stark nachgefragt werden.
Im Mai hat eine Kampagne aus 148 npm-Paketen für Aufsehen gesorgt, weil sie nicht wie typische Supply-Chain-Attacken im Build- oder Installationsprozess zuschlägt, sondern direkt im Browser: Getarnte „Student Proxies“ sollten Nutzern helfen, Schul- und Content-Filter zu umgehen. Die Forschenden ordnen die Aktion als kurzzeitiges, aber gezielt orchestriertes DDoS-Botnetz ein, das etwa zwei Wochen lang aktiv war. Besonders brisant ist die Trennung von Oberfläche und Wirkung: Die Proxy-Funktionalität funktionierte scheinbar, während gleichzeitig ein Remote-Loader sowie ein WebSocket-basierter Generator liefen, sobald eine Seite geöffnet wurde.
Technisch betrachtet ist das Schadmodell ungewöhnlich klar in Module zerlegt. Nach der Deobfuskation fanden die Analysten im Einstiegscode ein 5,4-MB-JavaScript-„Single-Line“-Bundle, das sich auf über 20.600 Zeilen lesbaren Codes entpackte. Zwei Komponenten stechen hervor: Der erste Teil (G2) holt zur Laufzeit JavaScript von einem GitHub-Repository über jsDelivr und adressiert bewusst die mutable main-Branch statt eines festen Commits. Ohne Subresource-Integrity-Absicherung wird der gelieferte Code mit Origin-Rechten des Proxy-Frontends ausgeführt – inklusive Vollzugriff auf Cookies, Local Storage und Same-Origin-Endpunkte. Ein No-Referrer reduziert dabei die Nachvollziehbarkeit.
Im Kontext der Gegenmaßnahmen erklärt sich dadurch auch, warum viele klassische Detektionspunkte zu spät greifen. Abwehrprodukte, die primär „npm install“- und Build-Pipelines scannen, sehen hier oft keinen problematischen Install-Teilschritt, weil die Pakete keine Lifecycle-Hooks nutzen und keine nativen Build-Skripte mitbringen. Die Logik wartet vielmehr, bis eine Browser-Session das Proxy-Projekt startet. Frühere Hinweise hatten die Kampagne zunächst als Adware und Registry-Missbrauch beschrieben – etwa durch Popunder-Werbung und Third-Party-Monetarisierungs-Skripte. JFrog hat im Nachgang tiefer rekonstruiert, welche zweite Stufe später gegen reale Ziele arbeitet und wie die Betreiber den Remote-Loader nach Bedarf „re-armen“ können.
Markt- und Plattformwirkung bekommt die Sache zusätzlich, weil Registries zugleich als kostenlose CDNs dienen. In den rekonstruierten Archivdaten erzeugte G2 einen HTTP-Flood: Alle 500 Millisekunden baute das Skript einen neuen Ein-Millionen-Zeichen-String und postete ihn als no-cors-Anfrage an eine Ziel-Domain in der öffentlichen DNS-Welt (JFrog identifiziert dafür konkret eine Domain, die zu einer Pflegeschule in Illinois gehört). Die Requests warteten nicht auf Antworten, stauten sich also, und ein parametrischer Anti-Caching-Ansatz verhinderte das Abfangen durch Zwischensysteme. Überschlagsrechnungen ergaben pro aktivem Tab Uploadraten von rund 2 MB pro Sekunde; bei 1.000 offenen Tabs wäre das ein ganz anderes Größenordnungsprofil.
Noch schärfer wirkt die zweite Komponente (I2), weil sie den Angriff als Control-Plane-Manöver tarnt. Sie lädt eine Textdatei (websocket.txt) mit Ziel-WebSocket-Adresse und einer Socket-Anzahl zwischen 1 und 1.024, öffnet diese Verbindungen anschließend in einem gestaffelten Loop und spricht dann das Wisp-Proxy-Protokoll. Wisp wird in ähnlichen Browser-Proxy-Umgebungen als low-overhead Tunneling zwischen vielen TCP/UDP-Sockets über eine einzelne WebSocket-Verbindung genutzt – genau diese „plausible“ Kompatibilität macht die Missnutzung gefährlich. In den gepufferten Frames werden CONNECT- und CLOSE-Sequenzen so gesetzt, dass eine ferne Wisp-Instanz die Zustände erzeugt, statt dass der Browser selbst zum Ziel wird.
Ein entscheidender Enterprise-Hintergrund steckt dabei in der Stabilität des Ziel-Ökosystems: JFrog beschreibt, dass eine verwendete wisp-server-node Implementierung pro CONNECT-Frame neue Sockets öffnet, ohne Loopback- oder Private-Adressräume robust zu prüfen, und zudem jeden Versuch protokolliert. Das verschiebt den Effekt vom reinen Bandbreiten-„Volumetric“-DDoS hin zu Ressourcenerschöpfung: File Descriptors, Log-Speicher und Verbindungszustände geraten in eine Überlastspirale. Für Betreiber bedeutet das, dass Monitoring zwar Anomalien sieht, aber die Abwehr auch eine saubere Policy-Validierung für Zieladressen und Rate-Limits am Proxy-Backend braucht. In der Praxis wird wisp-server-node zudem als deprecates geführt, gerade wegen solcher Sicherheits- und Stabilitätsmuster.
Aus Sicht des Wettbewerbs und der Abwehrlandschaft lohnt der Blick auf die Angriffslogik gegenüber typischen Toolchains: Dependency-Scanner und Install-Sandboxes sind gut darin, Code zu erkennen, der bei npm install oder beim Build ausgeführt wird. Hier aber wird der Browser zur „Run-time-Gatekeeper“-Umgebung, und das Laden passiert erst, nachdem ein Nutzer eine Seite öffnet. Das trifft auch auf die organisatorische Realität zu, in der Proxy-Seiten in Schulen häufig eingesetzt werden, ohne dass IT-Teams jede Landing-Page einzeln klassifizieren. Gleichzeitig zeigt die Kampagne, dass Plattformen wie npm in manchen Rollen gleichzeitig als Hosting-Schicht fungieren: Wer „0.0.1-security“-Platzhalter liefert, kann Inhalte ausnutzen, ohne dauerhaft dieselbe Signatur tragen zu müssen. Frühere Korrekturen reichten deshalb nicht, weil der Loader weiterhin auf mutable Ziele zeigte.
Für die Zukunft ergibt sich daraus ein klarer Fahrplan: Erstens sollten Schulen und Unternehmen, in denen solche Browser-Proxies besonders stark verkehren, Domains bereits auf DNS-Ebene sperren und die heute aktiven Monetarisierungs- und Script-Hosts zuerst priorisieren. Zweitens müssen Nutzer, die betroffene Proxy-Seiten geöffnet haben, Cache, Local Storage und eventuell hinterlassene Service Worker bereinigen. Drittens sollten Teams Pakete aus manifests und lockfiles nachvollziehbar neu resolven und clean rebuilds durchführen, statt nur „Patches“ einzuspielen. Der langfristige Punkt ist weniger technisch als organisatorisch: Solange öffentliche Registries als kostenlose CDNs missbrauchbar sind, werden besonders gefährlich diejenigen Pakete bleiben, die nie in Build-Pipelines „auftauchen“, sondern im Browser erst ihr wahres Verhalten aktivieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "148 getarnte npm-Pakete verwandeln Browser-Proxies in DDoS-Botnetze" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "148 getarnte npm-Pakete verwandeln Browser-Proxies in DDoS-Botnetze" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »148 getarnte npm-Pakete verwandeln Browser-Proxies in DDoS-Botnetze« bei Google Deutschland suchen, bei Bing oder Google News!